Gì tệ hơn ransomware? Mã độc ngụy trang ransomware nhưng hoạt động như mã độc khác ở nền. Loại này tàn khốc nhờ thành phần gây lạc hướng. Khi nạn nhân bận tìm cách giải quyết ransomware, mã độc thực sự tự do hoạt động ở nền mà không bị phát hiện.
Đây chính là trường hợp EvilQuest ransomware. Vì dễ phát hiện khi Mac bị EvilQuest, mã độc thực sự dễ dàng hoạt động vì người dùng tập trung vào ransomware "màn khói".
EvilQuest Ransomware trên Mac là gì?
EvilQuest (còn gọi ThiefQuest) là chủng ransomware mới phát hiện tháng 6/2020. Thường gói cùng bản crack ứng dụng Mac phổ biến: Little Snitch, Mixed in Key, Ableton Live. Ngoài gói ứng dụng, cũng được phát hiện ngụy trang chương trình Google Software Update.
EvilQuest mã hóa tài liệu/tệp nạn nhân bằng thuật toán mật mã mạnh. Bạn nhận biết khi thấy thông báo bật lên:
Your files are encrypted
Many of your important documents, photos, videos, images and other files are no longer accessible because they have been encrypted.
Maybe you are busy looking for a way to recover your files, but do not waste your time. Nobody can recover your files without our decryption service.
We guarantee however that you can recover your files safely and easily and this will cost you 50 USD without any additional fees.
Our offer is valid FOR 3 DAYS (starting now!). Full details can be found in the file: READ_ME_NOW.txt located on your Desktop
Nó cũng thả ghi chú chuộc READ_ME_NOW.txt. Ghi chú lặp lại thông báo bật lên, thêm chi tiết thanh toán:
We use 256-bit AES algorithm so it will take you more than a billion years to break this encryption without knowing the key (you can read Wikipedia about AES if you don't believe this statement).
Anyways, we guarantee that you can recover your files safely and easily. This will require us to use some processing power, electricity and storage on our side, so there's a fixed processing fee of 50 USD. This is a one-time payment, no additional fees included.
In order to accept this offer, you have to deposit payment within 72 hours (3 days) after receiving this message, otherwise this offer will expire and you will lose your files forever.
Payment has to be deposited in Bitcoin based on Bitcoin/USD exchange rate at the moment of payment. The address you have to make payment is:
13roGMpWd7Pb3ZoJyce8eoQpfegQvGHHK7
Decryption will start automatically within 2 hours after the payment has been processed and will take from 2 to 5 hours depending on the processing power of your computer. After that all of your files will be restored.
THIS OFFER IS VALID FOR 72 HOURS AFTER RECEIVING THIS MESSAGE
Nhiều hơn một Ransomware
Nhìn ghi chú chuộc, ngay lập tức thấy tiền chuộc rất thấp. Canh giữ so với $980 của họ STOP/Djvu hoặc $4,000-$8,000 của Locky. Thêm vào đó, không có thông tin liên hệ trên ghi chú, nạn nhân không liên lạc được với kẻ tấn công.
Điều này khiến bạn thắc mắc kẻ tấn công có nghiêm túc không. Yêu cầu $50 như đùa, khiến chuyên gia bảo mật hoài nghi bản chất thực. Sau phân tích sâu, xác nhận EvilQuest không chỉ ransomware.
Nó có chức năng vượt quá mã hóa và yêu cầu chuộc. Phân tích kỹ cho thấy EvilQuest cũng có keylogging (ghi phím) và cắp dữ liệu. Nó thu thập hình ảnh, văn bản, cơ sở dữ liệu, bài thuyết trình, bảng tính, ví crypto, bản sao lưu và dữ liệu nhạy cảm khác. Mã độc cũng xác định xem có đang chạy trong máy ảo không và giải pháp bảo mật nào đang cài, từ đó triển khai chiến lược duy trì.
Khi quét hệ thống tìm thấy dữ liệu khớp định dạng, nó ngay lập tức kết nối lén lút đến máy chủ điều khiển bằng cách mở reverse shell. Mã độc dùng backdoor này để tải file thêm lên Mac và xuất dữ liệu đã thu thập mà không hay biết. Nó làm việc này đồng thời khóa một số file hệ thống, chuyển hướng sự chú ý khỏi hoạt động thực.
Một số đuôi tệp bị mã hóa:
.pdf, .doc, .txt, .jpg, .pem, .pages, .cer, .py, .h, .webarchive, .zip, .xsl, .xslx, .docx, .ppt, .keynote, .js, .crt, .php, .m, .hpp, .pptx, .cpp, .cs, .sqlite3, .pl, .p, .p3, .wallet, .html, .dat, và khác.
Cách loại bỏ EvilQuest Ransomware khỏi Mac
May mắn thay, nhiều phần mềm bảo mật hiện nay phát hiện được EvilQuest và xóa khỏi Mac. Bạn có thể dùng antivirus để xóa cả ransomware và các chức năng "bổ sung" (reverse shell, keylogger). Malwarebytes là công cụ hiệu quả loại bỏ EvilQuest Mac ransomware. Công cụ RansomWhere? của Wardle cũng phát hiện và dừng quá trình mã độc của EvilQuest. Tuy nhiên, dùng các công cụ này dẫn đến mất dữ liệu đáng kể nếu không có bản sao lưu.
Nếu không có bản sao lưu, bạn có thể dùng giải mã EvilQuest mới phát hành bởi SentinelOne. Xem video demo để biết cách dùng. Tuy nhiên, vẫn cần loại bỏ ransomware và dọn dẹp Mac trước khi dùng giải mã vì nó chỉ mở khóa file, không xóa mã độc.
Tóm tắt
Mã độc ngày càng sáng tạo, tinh vi, khó phân loại chặt chẽ. EvilQuest là ví dụ điển hình. Vì vậy, nếu nhận thông báo Mac bị nhiễm mã độc, hãy coi trọng. Hãy quét toàn diện máy tính và xóa mọi dấu vết mã độc trên hệ thống.